생활기록부

Spring Boot JWT Access Token과 Refresh Token 구현 방법Spring Boot에서 JWT 인증을 구현할 때 Access Token만 사용해도 인증 자체는 가능합니다.하지만 Access Token의 만료시간을 짧게 설정하면 사용자가 자주 로그인해야 하고, 반대로 너무 길게 설정하면 토큰이 탈취됐을 때 장시간 악용될 위험이 커집니다.이 문제를 보완하기 위해 많이 사용하는 방식이 Access Token + Refresh Token 구조입니다.기본 흐름은 다음과 같습니다.로그인 ↓Access Token 발급Refresh Token 발급 ↓Access Token으로 API 호출 ↓Access Token 만료 ↓Refresh Token으로 재발급 요청 ↓새 Access Token 발급..

Spring Security JWT 403 Forbidden 원인과 해결 방법Spring Boot에서 Spring Security와 JWT를 적용하다 보면 JWT 발급도 정상이고 인증도 성공했는데 API 호출 결과가 403 Forbidden으로 반환되는 경우가 있습니다.HTTP/1.1 403 ForbiddenJWT 관련 오류에서 401과 403을 혼동하는 경우가 많은데 두 상태코드는 의미가 다릅니다.간단하게 구분하면 다음과 같습니다.401 Unauthorized→ 인증되지 않음403 Forbidden→ 인증은 되었지만 해당 API를 사용할 권한이 없음예를 들어 JWT 인증 사용자의 권한이 USER인데 /api/admin/** API에서 ADMIN 권한을 요구한다면 Spring Security는 접근을 거..

Spring Boot JWT 401 Unauthorized 원인과 해결 방법Spring Boot에서 JWT 인증을 구현하다 보면 자주 만나는 오류가 401 Unauthorized입니다.로그인까지 성공했고 JWT도 정상적으로 발급됐는데 보호된 API를 호출하면 다음과 같은 응답이 나오는 경우가 있습니다.HTTP/1.1 401 Unauthorized또는 프론트엔드에서는 다음처럼 보일 수 있습니다.401 UnauthorizedSpring Security에서 인증이 필요한 API를 인증 정보 없이 호출하면 401 응답이 발생할 수 있으며, Bearer Token이 만료되거나 잘못된 경우에도 인증 실패로 처리될 수 있습니다.JWT를 사용하고 있다면 401의 원인은 단순히 "로그인을 안 했다" 하나가 아닙니다.다음..

Spring Boot JWT Filter 구현 - OncePerRequestFilter 사용법Spring Boot에서 JWT 인증을 구현할 때 로그인 후 발급받은 토큰을 매 요청마다 검증해야 합니다.클라이언트가 다음과 같이 JWT를 전달한다고 가정해보겠습니다.Authorization: Bearer eyJhbGciOiJIUzI1NiJ9...이 토큰을 Controller에서 매번 직접 꺼내서 검증할 수도 있지만, 실제로는 그렇게 구현하지 않습니다.Spring Security에서는 Filter 단계에서 JWT를 추출하고 검증한 뒤 인증 정보를 SecurityContext에 등록하는 방식이 일반적입니다.이때 많이 사용하는 클래스가 OncePerRequestFilter입니다.이번 글에서는 다음 내용을 직접 구현하..